摘 要：全球范围内对人脸识别技术的法律规制主要基于敏感个人信息保护与人工智能风险规制展开。现有敏感个人信息制度未能给予人脸信息恰当保护，欧盟《人工智能法》对于人工智能采取的统一化风险规制方案也不利于人脸识别技术的创新发展。此外，人脸信息保护与人脸识别技术发展也存在一定冲突之处。化解上述挑战的关键在于引入场景理论，进而依据人脸识别技术的用途、应用主体以及行业进行具体场景划分，构建风险相称的人脸信息保护模式与人脸识别技术的规制框架。场景化的规制方案也有利于构建数字信任，促进人脸信息保护与人脸识别技术发展的和谐统一。
关键词：人脸识别技术；人脸信息；敏感个人信息；人工智能；场景化规制
随着深度学习等人工智能技术的突破与发展，人脸识别技术广泛运用于公共安全与商业支付等场景。民众在享受人脸识别技术带来的安全、效率等便利的同时，也面临着强制刷脸、身份信息泄露等诸多隐私侵犯问题。此外，人脸识别技术还因识别误判、算法歧视、大规模监控等技术风险引发普遍担忧。作为人脸识别技术的关键输入，人脸信息具有易采集性、不可变更性等特征，一旦泄露或被滥用，容易造成自然人人身、财产等方面的损害。因此，全球范围内的主要数据隐私立法都主张对人脸信息进行严格保护。但对于人脸识别技术规制而言，作为数字经济主导力量的中国、美国和欧盟尚未对规制方案达成一致。这一现实既反映了中美欧人工智能的技术水平与战略导向差异，也凸显了人脸信息保护与人脸识别技术发展的联系与矛盾——作为敏感个人信息的人脸信息需要强化保护，而人脸识别技术发展则需要相对宽松的规制环境。
从既有研究来看，国内学者多集中于讨论人脸信息保护、人脸识别技术的风险规制等内容，一般对人脸识别技术发展持积极态度；国外隐私法学者多数对人脸识别技术持负面态度，主张严格规制人脸识别技术应用乃至禁止人脸识别技术。本文借鉴数字法学领域有关场景化规制的研究，主张基于场景理论实现人脸信息保护与人脸识别技术风险规制的一体化重构。具体而言，第一部分从中美欧三个主要司法辖区的人脸识别技术的法律规制实践出发，梳理中美欧在人脸信息保护与人脸识别技术风险规制的共性与差异；第二部分讨论人脸识别技术法律规制的双重逻辑——敏感个人信息保护与人工智能风险规制的争论以及二者的冲突之处；第三部分则引入场景理论，在具体场景中重构人脸信息保护制度与人脸识别技术的风险规制模式，平衡人脸信息保护与人脸识别技术应用发展。
一、全球视野下人脸识别技术法律规制
人脸识别技术的数据来源是人脸信息，其技术逻辑主要是利用深度学习等人工智能技术对现采集的人脸信息与已有数据库的人脸信息模板进行对比分析，从而识别特定个体或对特定个体的特征（包括情绪）等进行分析。近些年来，人脸识别技术因其所带来的数据隐私、安全、歧视、监控等方面的风险成为全球范围内主要法域的共同规制对象。
（一）欧盟人脸识别技术的法律规制
从数据保护来看，欧盟的《基本权利宪章》（CFR）在第7、8条规定了数据主体的隐私权与数据权利。由于人脸识别技术的运行逻辑不可避免地需要处理作为特殊类别个人数据的人脸信息，因此在欧盟的框架下构成了对数据隐私权利的干扰和限制。根据欧盟《一般数据保护条例》（GDPR），人脸信息的处理首先得符合一般个人数据的保护原则，即合法、合理与透明性等要求；其次，由于属于特殊类别的数据，人脸信息的处理需要满足第9条禁止处理规定的例外条件，比如数据主体的明确（explicit）同意等。此外，《一般数据保护条例》还规定了对于特殊类别的个人数据需要进行事先的数据评估以及设立数据保护官等要求。2021年，欧盟委员会提出了《人工智能法》，经修改后于2024年开始实施。欧盟《人工智能法》宣称旨在平衡人工智能技术带来的收益与风险，并将人工智能应用依据风险等级划分为四类——禁止的风险、高风险、可接受的风险与较低的风险。由于处理人脸识别信息必然涉及隐私、安全等基本权利，所以除实时远程生物识别等禁止的一些人脸识别应用外，多数人脸识别技术的应用场景落入高风险人工智能系统的范围，这主要包括非实时的远程生物识别系统、基于敏感或受保护的属性或特征的推断以及用于情绪识别的人工智能系统等情形。
欧盟对人脸识别技术主要持负面态度，无论是数据隐私立法还是人工智能立法均主张严格规制。不过自2024年底以来，欧盟数据保护立法出现了降低企业尤其是中小企业合规成本的新趋势。同时，也有部分欧洲国家领导人呼吁放松对人工智能的规制以应对来自美国的压力。许多大型企业也联合呼吁暂停《人工智能法》的实施。
（二）美国人脸识别技术的法律规制
目前，美国联邦层面并未通过有关数据保护的综合性立法，既有立法主要是从行业或特定领域的角度予以规范。从州层面来看，有三个州专门制定了生物识别法，即伊利诺伊州、得克萨斯州与华盛顿州，其他州则主要通过数据隐私法中的敏感个人信息条款对生物识别信息予以规制。伊利诺伊州于2008年通过了《生物识别信息隐私法》（BIPA），成为第一个对生物识别信息进行规制的州。为了确保私营企业与消费者间的透明度，该法对私营企业如何获取和使用个人生物识别数据设定了重大限制，主要包括明确的告知、收集的合理性与保留时间以及数据获取与分享前的书面授权等。该法还设立了私人诉权，允许个人就企业的违法行为提出索赔，并规定了较大的赔偿金额。因此，美国境内的生物识别诉讼往往在伊利诺伊州提起。得克萨斯州受伊利诺伊州影响，于2009年颁布了《捕获或使用生物识别标识符法案》（CUBI）。该法没有设立私人诉权，而是授权总检察长提起诉讼以执行该法规，并对每次违规处以最高25,000美元的罚款限制。与前两项严格保护生物识别数据的州法律相比，华盛顿州于2017年通过的《生物识别隐私法》（WBPA）代表着生物识别信息商业利用的友好进路。华盛顿州的《生物识别隐私法》在立法目的、数据处理与救济规则等方面，都较前两项州立法有所放宽。就人脸识别技术应用的规制而言，美国各政治实体间存在较大冲突。特朗普政府时期，美国政府主张与中国进行人工智能领域竞争，推出“星际之门”计划，并曾试图取消地方政府对人工智能发展的限制。而拜登政府时期提出的《算法问责法案》等立法草案预计也很难获得通过。此外，不仅美国政府与各州对人工智能技术的态度不一致，美国地方政府层面也未对人脸识别技术应用与限制达成共识。
因此，无论是数据隐私领域还是人工智能领域，美国各州对人脸识别技术的法律规制都未能达成一致意见，而且联邦政府与各州之间也存在不少冲突之处。在可预见的未来，旨在广泛限制甚至禁止使用人脸识别技术的联邦立法不太会获得通过，而地方层面对人脸识别技术的限制措施也充满着较大的不确定性。
（三）中国人脸识别技术的法律规制
我国数据隐私立法重视对人脸信息的保护。《中华人民共和国民法典》（以下简称《民法典》）在1034条规定了作为个人信息的生物识别信息。《最高人民法院关于审理使用人脸识别技术处理个人信息相关民事案件适用法律若干问题的规定》（以下简称《人脸识别司法解释》）指出，人脸信息属于《民法典》第1034条的生物识别信息，明确经营场所或公共场所违反法律、行政法规的规定适用人脸识别技术进行人脸辨识、验证和分析以及其他无正当依据处理人脸信息的行为构成侵犯人格权益的行为。《中华人民共和国个人信息保护法》（以下简称《个保法》）第28条则明确规定了敏感个人信息，其中生物识别信息作为明确规定的敏感个人信息，受到较一般个人信息更强的保护，包括适用单独同意制度以及事前评估制度等。2025年3月，国家网信办与公安部联合发布了《人脸识别技术应用安全管理办法》（以下简称《人脸识别办法》）。与既有法律与相关规定相比，《人脸识别办法》承袭了《个保法》中个人信息保护的原则，强化了对人脸信息的保护，并回应了实践中的强制刷脸等问题。不过，由于人工智能技术的战略意义以及遵循我国历来科技创新规制的包容审慎传统，该办法也为人脸识别技术的创新发展预留了空间。
总体而言，中美欧对于人脸识别技术的法律规制有相同点，也有不少差异。相同点在于各地区都已通过数据隐私立法，强化人脸信息保护。区别在于：一是各地区的保护强度存在差异。一般认为欧盟的个人信息保护最为严格，而美国的数据隐私保护主要采取消费者权利保护模式，往往更鼓励个人信息的自由流通。二是从人工智能的相关立法来看，各地区对人脸识别技术的风险规制方案并未形成一致意见。各地区对于人工智能的发展前景都相当期待，也重视人脸识别技术在公共安全、商业营销方面的经济潜力。即使是欧盟，也认为85%—88%左右的人工智能应用是风险较低的，但是欧盟还是对人脸识别技术进行了大范围的限制与规范。而中国与美国，作为全球人工智能竞争最激烈的两个国家，在数据利用与人工智能领域立法相对谨慎，并通过多种政策手段支持人工智能产业发展。这既反映了中美欧三地区不同的技术发展现状与战略选择，也反映了数据保护逻辑与人脸识别技术发展逻辑的内在冲突。
二、人脸识别技术法律规制双重逻辑及其争议
人脸识别技术的开发既需要作为输入的数据，也离不开作为技术支撑的算法。如前所述，当前的人脸识别技术法律规制主要包含两套逻辑，一是数据隐私保护，二是以算法为核心的人工智能风险规制。尽管各主要法域在数据隐私保护领域共识性内容较多，但是在人脸信息保护方面仍然有不少争议，特别是敏感个人信息制度。而就人工智能风险规制而言，中美欧远未形成共识。此外，数据隐私保护与人工智能发展的内在冲突也是亟待回应的现实问题。
（一）基于敏感个人信息的人脸信息保护逻辑
一般而言，用于识别目的的人脸信息纳入生物识别信息的范畴较少有争议。无论是欧盟《一般数据保护条例》中的特殊类别的个人数据，还是我国《个保法》规定的敏感个人信息，对生物识别信息都施加了诸如明确（单独）同意、事前的个人信息影响评估等更高的信息处理要求。因此按照上述逻辑，人脸信息在信息处理时受到较一般个人信息更强的法律保护。但是在对人脸信息适用敏感个人信息制度这一问题上，学界仍有一定争议。首先是敏感个人信息制度的必要性问题。保罗·欧姆（Pual Ohm）认为敏感信息是个人信息保护中的关键转折，因为它为个人信息带来了分层式保护——对于那些带来更大危害或风险的个人信息予以加强保护。但有不少学者对敏感个人信息制度提出批评。穆格·法兹利奥卢（Müge Fazlioglu）认为随着技术的不断发展，会出现越来越多的敏感数据类别，而人工智能推断能力的提升会将不敏感的个人信息转化为敏感个人信息。丹尼尔·沙勒夫（Daniel J. Solove）则认为不应当基于数据性质即数据是否具有敏感性进行分层保护，而应从数据利用与数据所造成的危害端对个人信息予以规制。保罗·奎因（Paul Quinn）和詹克劳迪奥·马尔基里（Gianclaudio Malgieri）也认为敏感数据概念存在通货膨胀（inflation）效应，为了保证敏感信息范围的合理性应当改造其解释方法。
其次，人脸信息是否属于敏感个人信息存在一定的解释空间。从人脸信息到敏感个人信息要经过两层逻辑，一是人脸信息是否属于生物识别信息，二是生物识别信息是否属于敏感个人信息。尽管我国《人脸识别司法解释》与《人脸识别办法》对人脸信息进行了释义，明确了其生物识别属性，但学者仍然是基于人脸识别信息而非人脸信息展开讨论。这意味着人脸信息作为概念未必一定符合生物识别信息的定义。因为从文义解释的角度来看，很难排除照片、视频等内容作为人脸信息的存在。如果确认照片等内容属于人脸信息，那么对人脸信息的严格保护则可能改写整个互联网社交平台的商业逻辑。
对于生物识别信息是否属于敏感个人信息的判断，则涉及对现有立法的解释。以我国《个保法》第28条第1款为例，其所规定的敏感个人信息是“一旦泄露或者非法使用，容易导致自然人的人格尊严受到侵害或者人身、财产安全受到危害的个人信息”，并且后续列举了生物识别等七类具体的个人信息。如果采取目的解释，那么意味着生物识别等类别的信息只有在“一旦泄露或者非法使用，容易导致人格尊严或者人身、财产安全受到危害”时才构成敏感个人信息，如果这些信息的处理并不危及人格尊严或者人身、财产安全则不宜纳入敏感个人信息的范围。人脸识别技术发展的主要驱动便是该技术更好的安全性与准确性，而且随着技术的发展以及多技术的联合适用，人脸信息所带来的身份盗用风险的可能性会大幅降低，那么此时人脸信息是否仍应被视为敏感个人信息？当然，如果采取文义解释，那么这七类个人信息不管在何种情境下均属于敏感个人信息而获得加强保护。因此，从理论上来说，人脸信息是否属于敏感个人信息仍然存在一定的不确定性。
最后，现有敏感个人信息的保护方式也未必合理。当前敏感个人信息制度一般包括更高的合法性要求，单独同意以及个人信息影响评估等制度。但这些制度在实践中也遇到不少挑战。以单独同意为例，该制度仍然遵循知情同意框架。而知情同意这种隐私自我管理模式一直饱受批评。隐私自我管理的基本假设在于向个体赋权以平衡消费者与企业之间的不平等关系。但是这种构想并未充分考虑个体的认知困境以及大数据技术所带来的结构性问题。以人脸识别技术的商业场景，如自动售货机为例，尽管消费者会接收到售货机页面提供的隐私协议，但是少有消费者去认真阅读这些隐私协议，往往都是直接勾选同意选项，然后进行人脸识别，确认后即完成购买服务。整个购买环节过程很短暂，如果去认真阅读隐私协议，那么不如选择直接选择扫码支付。因此，这种单独同意机制未必能够实现立法者的预期目标。
（二）人脸识别技术的风险规制逻辑
作为典型的人工智能应用，人脸识别技术所带来的风险除了数据隐私风险外，还集中体现为技术的不准确与算法歧视等工具性风险。如何对人脸识别技术所带来的工具性风险进行规制也是当前学界争论的核心。
首先，人脸识别技术的规制理念应该选择风险预防还是成本收益分析存在争议。近年来，随着ChatGPT等生成式人工智能的爆发，不少学者主张基于风险预防原则对新兴科技进行规制。实践中，美国部分城市选择直接禁止人脸识别技术在执法部门的应用，欧盟《人工智能法》也对部分人脸识别应用采取严格禁止（仅有少数情况例外）的规制模式。但是，这种一刀切禁止或严格预防的风险规制模式可能会错失人脸识别技术所带来的收益。奥莉·洛贝尔（Orly Lobel）认为当前的政策讨论中充斥着对新兴技术的抵制思潮，往往高估人类决策的质量，而未能对人脸识别技术应用进行正确的相对成本收益分析。尼希尔·夏尔马（Nikhil Sharma）认为美国在中美竞争的背景下对人工智能发展施加过多限制是一种错误。不过也有学者认为对科技企业的强规制未必会抑制技术创新，并以欧盟与美国为例，认为欧盟科技产业落后主要是由于缺乏良好的金融市场、高技能人才等条件，而非数字产业规制。
其次，对人脸识别技术选择何种版本的风险规制也尚有讨论空间。按照玛戈特·卡明斯基（Margot Kaminski）的说法，至少存在四个版本的风险规制，包括20世纪60至80年代美国行政法中的定量风险评估、民主监督式的风险规制、基于风险（配置执法资源）的规制以及企业自我规制。这些不同的风险规制模式有不同的法律移植来源，往往也指向不同的目标与策略。在人脸识别风险规制的语境下，选择何种版本的风险规制存在争议。欧盟《人工智能法》选择了基于风险的规制方案，主要考虑人工智能尤其是人脸识别技术的风险，选择禁止和严格限制政治决策者所设想的人脸识别技术类型。正如部分学者所指出的，欧盟《人工智能法》的风险分类分级的标准并不科学。以公共执法领域的人脸识别技术为例，欧盟采取了除特殊情形外，严格禁止远程人脸识别技术的做法。但如果考虑到全球范围不同地域的治安差异，对某些治安环境较差的地区严格禁止实时远程人脸识别技术，可能并不能满足当地的现实需求。尽管美国部分城市选择禁止人脸识别技术在公共部门的应用，但私营企业对人脸识别技术的开发利用则更多受到企业自我规制的约束。此外，与风险规制模式相关的一个问题是规制工具的选择。事实上，即使是相同的规制工具，不同版本风险规制模式下其重要性和侧重点也可能存在差异。
（三）人脸信息保护与人脸识别技术发展的冲突
人脸信息保护遵循保护法逻辑，其方式在于向信息主体赋权以平衡信息主体与信息处理者的不对称地位；人脸识别技术风险规制则是规制法逻辑，其方式主要在于通过向企业技术应用施加责任或限制以影响技术发展的水平和方向。在全球人工智能竞争的背景下，人脸识别技术应用可能呈现出“去规制”或暂缓规制的趋势，而人脸信息保护则呈现出强化保护趋势。这种趋势背离反映了人脸信息保护与人脸识别技术发展的内在冲突。
数字时代，保护个人信息具有必要性。同时，数字经济的发展也离不开数据要素的汇聚融合，人脸识别的发展与应用离不开大量数据的训练与技术迭代。正如有学者指出，隐私保护与信息的自由流动存在冲突。人脸信息因其敏感性而受到强化保护。这意味着数据处理者在处理人脸信息时面对更多的法律限制，数据训练的成本也会上升。尽管人脸信息具有敏感性，但其同时也具有易采集性的特点。人脸识别技术之所以会快速发展并获得应用，也在于其相较于传统的指纹识别或基因识别等生物识别方式具有更大的便捷性。因此，人脸信息的强化保护可能与人脸识别技术对效率的追求相矛盾。
人脸信息的强保护模式也可能会增强人脸识别技术的工具性风险。人脸识别的工具性风险突出体现在两个方面，一是技术准确性，二是算法歧视。人脸识别技术的准确性风险在于可能会产生假阳性或者假阴性问题。关于人脸识别技术准确性的例子并不罕见，由于人脸识别验证不通过而未获得信贷等情形也时有发生。人脸识别技术的歧视风险主要在于人脸识别用于招聘就业等场景，比如亚马逊的招聘算法由于训练数据的原因而延续了其在就业招聘环节中的性别歧视。作为人脸识别技术的关键投入，训练数据决定了识别算法的效果。因此，训练数据的数量限制以及代表性欠缺等因素可能会导致人脸识别算法的不准确与歧视问题。事实上，即使是科技监管最为严格的欧盟，在《一般数据保护条例》与《人工智能法》中都采用基于风险的方法，希望权衡人工智能所带来的风险与收益，尤其是在保护基本权利的前提下促进人工智能产业的发展。因此，通过何种方式平衡好人脸信息保护与人脸识别技术的发展仍然是关键的理论与实践问题。
三、人脸识别技术的场景化规制
法律制度对科技发展的促进作用受到普遍认可。试图基于数据性质或者采取统一化风险规制的方式会遭遇保护不足或保护过强的问题，难以协调好个体利益、企业利益与集体利益。事实上，无论是敏感个人信息保护还是人工智能的风险规制，在实践中很难脱离场景要素。民众对人脸识别技术的态度也并非一成不变，而是随着场景的变化而变化。有研究表明，人们通常对政府使用面部识别来调查严重犯罪、增强机场和学校等受控空间的安全性以及在某些情况下提高身份验证效率感到满意，但往往不习惯在公共场所看到政府部门随意使用面部识别技术。因此，场景是决定人脸识别技术法律规制的重要考虑因素。
（一）场景理论的引入
近年来，“场景”成为法学研究中的热词。从数据隐私领域来看，“场景”概念主要源自海伦·尼森鲍姆（Helen Nissenbaum）的场景一致性（contextual integrity）理论。该理论认为信息流动应当符合特定场景下的信息规范。信息规范由参与主体（包括信息主体与信息处理者）、信息类型以及传输原则三个要素构成。场景理论最初应用于数据隐私领域，后普遍被学者推广至算法规制领域。场景要素介入算法规制的逻辑在于，诸如算法公开等算法规制工具的一般性适用不能达成预期目的。因此，不同场景可能存在不同的信息规范，也相应地存在不同的算法规制框架。
根据场景一致性理论，如果新的信息实践违反了原有的信息规范，则需要基于原有社会场景的价值目标来评估这种违反行为是否具有合理性。基于信息规范的要素构成，技术发展既可能带来信息主体的变化，也可能带来信息类型的变化，还可能改变既有的传输原则。以人脸识别技术替代传统的指纹识别技术为例，这种技术变化不仅带来了信息类型的变化（尽管都是生物识别信息），也改变了传统的信息传输模式——由传统的接触提取变为现代的远程扫描，而且信息处理者的范围也得到了极大的拓宽。至于这一变化是否违反场景一致性，则需要根据具体场景进行分析。
既有研究分析了人脸识别技术不同应用场景的划分标准，包括技术用途、所处行业、公私主体等。这些分类模式与场景一致性理论中信息规范的三要素也存在对应关系。不同的人脸识别技术用途对应不同的信息类型——不同用途下人脸信息的特征也并不相同，比如情绪识别下的人脸信息并不一定与特定身份相关联。公私主体划分符合参与主体的分类逻辑，而行业的区分则往往代表着不同的信息传输规则。
此外，基于人脸识别技术用途以及信息参与主体等标准的场景划分方式也与欧盟《人工智能法》中人脸识别技术的风险分类分级规制相对应。这种对应性体现了人脸信息保护与人脸识别技术规制的关联性与互补性。因为无论是侧重源头治理的人脸信息保护，还是结果导向的人脸识别技术风险规制，其制度目的均在于合理防范人脸识别技术应用过程中的多重风险。因此，场景理论的意义不仅在于判定何种信息实践符合信息规范，还在于提供了场景这一要素作为识别风险以及对风险进行分类分级的依据。
（二）人脸信息保护的场景化重构
在利用场景理论重构敏感个人信息制度以加强人脸信息保护前，需要回应有关学者对敏感个人信息制度的批判。如前所述，学者们对敏感个人信息持否定态度的理由主要在于机器学习推理能力的增强，能够与其他信息相结合推断出敏感个人信息，进而导致敏感个人信息概念的膨胀。对这类否定意见有两种回应：一方面，这类担忧可能高估了人工智能推理的能力且低估了推断所耗费的成本；另一方面，这种因推断而产生的敏感个人信息与本质上敏感的个人信息不同，可以将其视为一般个人信息的滥用并进行规制。此外，敏感个人信息制度在立法上也具有表达功能，能够引导企业在数据处理过程中恪守保障个人信息安全的原则。鉴于我国《个保法》以及域外主要立法都引入了敏感个人信息制度，更为妥贴的方式可能在于基于敏感个人信息与一般个人信息分层保护的基础上引入场景要素，对人脸信息保护进行场景化重构。这种重构可以从两个角度展开：一方面，场景要素如何作用于人脸信息敏感性的判定，另一方面是场景要素如何影响人脸信息的保护方式。
基于个人信息保护的法理可知，个人信息受到保护的理由在于其承载着数据主体的一系列人身、财产权益。同样，法律对敏感个人信息和一般个人信息进行分层保护的目的，也在于二者所指向的权益有所差异，敏感个人信息往往与数据主体的人格尊严以及人身、财产安全联系更为紧密。因此，敏感个人信息概念中的“敏感”联系了法律的强化保护与个人信息的风险等级。而风险等级与具体场景紧密相关。因此，尽管敏感个人信息的界定方式种类繁多，但大都包含场景这一要素。以双重界定模式为例，这类观点主张个人信息内容作为构成敏感个人信息的内因，而将信息处理者的处理能力等场景要素视为敏感个人信息的外因，外因会通过作用于内因而改变个人信息的敏感性。
无论是何种界定方式，敏感个人信息的界定离不开风险内容。尽管人脸承载着社会评价等其他内容，但是用于识别和验证的人脸信息往往很难与人格尊严受损等风险内容直接联系，更有可能构成工具性的敏感信息，因为其危险内容主要在于位置监控与身份盗用。而情绪识别以及利用人脸信息进行分类等信息实践则可能引发人格尊严受损。对于人脸信息实践可能发生的身份盗用这类现代风险而言，活体检测等技术的发展有可能减弱此类风险发生的概率。而且从既有人脸信息相关的诈骗案件来看，存在受害人疏于保护自己人脸信息以致财产损失的现象。不过，就人脸信息的位置监控风险而言，其与行踪轨迹信息具有类似性，技术发展可能增强了监控风险的可能性。此外，敏感信息界定的另一个要素是要构成大多数人的共识，这种共识又可能受到风险启发或错误宣传的影响，因此人脸信息是否具有敏感性可能也会因大多数人对人脸识别技术的认识变化而变化。因此，总体而言，场景要素作用于人脸信息敏感性界定主要表现在风险内容、风险概率、公众认知等三个方面，而且这三个方面彼此之间可能存在交叉现象，比如人脸识别技术的用途不仅直接决定了风险内容，也间接影响风险概率，毕竟与验证技术相比，识别、分类以及情绪识别等技术仍处在快速发展期，技术成熟度可能仍有所欠缺。而人脸识别技术的准确性也会影响到公众的认知，进而会影响到人脸信息的敏感性认定。
人脸信息在不同场景下敏感性发生变化的逻辑也会作用于人脸信息保护制度的构建。当前《人脸识别办法》主要承袭《个保法》有关敏感个人信息的规定，要求信息处理行为具有特定的目的和充分必要性，获得个人单独同意并进行个人信息保护影响评估等。这种统一性的强化保护可能带来保护过度或保护不足的问题。就人脸信息处理的合法性基础而言，严格限定人脸信息的处理目的可能不利于人脸识别技术等相关产业的发展，而过于宽松的目的要求可能又使得人脸信息的合法性要求流于形式，导致人脸信息的滥用。因此，应当结合具体场景确定人脸信息处理的合法性。与处理目的相关联，不同的人脸识别场景下对信息主体所造成的风险并不相同，因此，也需要在具体场景中配置信息主体与信息处理者的权利义务。申言之，如果按照向个体赋权的模式，则应当承认不同场景下信息处理者根据风险而定的告知等一系列义务。如果对隐私自我管理进行一定程度调整，适度引入监管部门的助推行为，那么也可以根据具体场景，进一步地调整信息处理者在人脸信息处理过程中的义务和角色，构建更为动态的分层同意模式。此外，还可以根据不同场景下人脸信息的不同用途及其风险，构建更具针对性的个人信息影响评估制度，比如在情绪识别类的人脸信息收集处理中更多关注技术本身的伦理性追求。
（三）人脸识别技术风险规制的场景化重构
人脸识别技术的应用存在风险是普遍共识，但是对于有风险的技术采取何种规制理念决定了技术发展的前景。美国部分城市禁止公共执法部门使用人脸识别技术，但是不少组织和民众对此持反对意见，认为应当暂停而非禁止人脸识别技术，因为这项技术未来可以提供安全的公共环境。事实上，对于人脸识别技术的抵制态度可能与诸多谬误相关，比如对人类与人工智能采用双重标准，对人脸识别技术的准确性采取静态视角，以及对人脸识别技术歧视的固有偏见等。对人脸识别技术的规制应当侧重安全与效率等价值的平衡，而非完全沉浸在风险叙事中。因此，从规制理念上说，应当采取务实的态度，权衡人脸识别技术所带来的风险和收益，而非直接禁止人脸识别技术的应用。应当抛弃“禁止/允许”这种二元选择，而应在“完全禁止—完全允许”的频谱内根据具体风险收益的情况采取针对性方案。
对于人脸识别技术的风险规制而言，基于场景的成本收益分析更能平衡技术带来的风险与收益。尽管欧盟《人工智能法》采用了基于风险的方法，但选择了横向统一化规制的方案。这一方案的突出问题就在于过度追求横向一致性而忽视了不同场景下人工智能的风险与收益差异，比如被欧盟视为不可接受风险的人脸情绪识别，也能用于检测长途货运汽车司机是否处于疲劳驾驶这类有益用途。人脸识别技术风险和收益也需要代入具体的场景才能充分显示，比如，执法部门人脸识别技术的风险主要在于数据监控以及技术准确性的担忧，其收益在于更安全的公共秩序与行政资源的节约；商业部门人脸识别技术的风险主要在于身份被盗用以及精准定位营销，而收益在于更便利的消费流程。此外，不同场景下民众对人脸识别技术的接受程度也并不相同。民众往往对政府部门使用人脸识别技术抓捕罪犯等行为表示认同，而抵制人脸识别技术用于商业营销。同时，不同地域的民众对人脸识别技术的风险偏好也可能存在差异。
人脸识别技术的风险规制应当考虑具体的规制模式与规制工具。从规制模式选择来看，不同版本的风险规制各有其优劣。比如单纯的定量分析可能并不适宜被用来规制正处在快速发展期的人工智能技术，因为此时的风险收益计算难度偏高。而在公共执法场景下，民主问责模式更能赋予人脸识别技术风险规制以正当性，也有利于提升民众对人脸识别技术的信任。而在商业场景下，企业自我规制可能更能释放企业的创新活力，不过也应当辅之以行政规制的约束。从规制工具来看，公共执法场景下，应当更加重视人脸识别技术应用事前的风险评估，而对于商业场景，算法备案则更能给予企业开发或应用人脸识别技术的空间。欧盟《人工智能法》不仅采取了公共执法与商业场景的划分，也根据人脸识别技术的用途进行了不同的规定。但该法对人脸识别技术的风险分类分级标准存在商榷之处，比如对情绪识别的严格限制。情绪识别不仅可用于刑事侦查，也可以用于医疗场景，还可以用于交通以及智能家居等行业。即使是《人工智能法》禁止的教育与工作场景，情绪识别仍然有一定的工具价值。不过由于情绪识别所带来的人类主体性受损等风险，在风险规制模式选择上，采取民主问责的风险规制可能更为恰当，而且也应当选择偏“硬”的规制工具，比如严格的事前审批。因此，对于人脸识别技术的风险规制也不应当根据用途进行一刀切的模式，而是依据具体场景，权衡各方利益，选择对社会整体利益损害最小的方式并辅之以针对性的规制工具。
（四）人脸信息保护与人脸识别技术发展的场景化平衡
人脸信息需要强化保护，人脸识别技术创新发展所带来的经济潜力与效率优势同样值得追求。化解人脸信息保护与人脸识别技术发展冲突的关键在于依托具体的场景，实现各类权益的平衡取舍，尤其是个体权利与企业权益以及社会利益的平衡。人脸信息具有双重属性，既与特定个体的数据隐私权益紧密相连，又呈现出一定的公共性特征，整体性的人脸信息其实是一种公共资源。当前全球人工智能竞争日益激烈，我国正是凭借超大规模数据要素市场优势占据有利地位。人脸识别技术发展不仅关系个体安全，也关系公共安全与国家安全。因此，对人脸信息的强化保护不应带来人脸识别技术发展的过多限制，阻碍人脸识别技术产业效益的实现。
人脸识别技术的现实需求与人脸识别技术的发展历程也证成了人脸识别技术应用的正当性。与传统人工审核相比，人脸识别技术能带来更高的效率，而且随着技术发展会逐渐超过人类识别的准确性。与其他生物识别技术相比，人脸识别的非接触性特征也是其产业前景的重要支撑。这也表明人脸信息与其他生物识别信息也存在类似不同隐私间的权衡关系。此外，人脸识别技术的准确性取决于训练数据的质量与数量。有学者指出，人脸识别训练数据代表性欠缺导致了识别效率低下与各类歧视。当前许多批评人脸识别技术误判或者存在歧视的问题的破解之道反而是对更多具有代表性的人脸数据进行训练。因此，人脸识别技术所带来的风险彼此间也存在冲突，换言之，人脸信息保护所预防的风险恰恰有可能给人脸识别技术应用带来风险。同时，人脸信息保护与人脸识别技术发展也存在相互促进的可能——人脸信息保护增强信息主体信任，促进人脸信息的流通，进而有利于人脸识别技术的发展。人脸识别技术的发展也有利于防止身份盗用等风险，增强人脸信息的保护效果。因此，不应采用对立的视角去看待人脸信息保护与人脸识别技术发展。政府部门应当主动作为，对人脸信息进行场景化保护，同时通过各类规制工具包括事前评估、算法备案、算法审计等方式，在具体场景下实现人脸识别技术的透明可信赖与发展的正向循环。
四、结语
数字时代，人脸信息的强化保护是中国、美国与欧盟共同的价值选择。而基于不同的规制传统与人工智能产业的发展水平，中美欧并未形成关于人脸识别技术的一致性规制框架。欧盟主张基于风险的规制模式，严格限制人脸识别技术的应用。美国基本延续宽松的技术规制传统，鼓励人脸识别技术的应用与创新。我国则秉持务实的规制理念，试图在人脸识别技术的规范与发展间寻求平衡。从全球范围看，当前基于敏感个人信息制度的人脸信息保护以及以欧盟《人工智能法》为代表的统一化风险规制模式，未能与具体场景下的风险相协调，存在保护、规制不足或过度保护、规制的问题。应当根据人脸识别技术的不同用途、不同主体以及不同行业等分类标准，确立人脸识别技术的具体应用场景，选择与风险相称的人脸信息保护模式与风险规制框架。人脸识别技术应用不仅有利于提升公共安全，也有利于提升商业交易效率、增强数字经济活力。人脸信息的强化保护能够增强信息主体对人脸识别技术的信任，促进人脸信息的流通利用，推动人脸识别技术的应用与发展。人脸识别技术的发展也会减少身份盗窃、识别错误与歧视等方面的风险。因此，应当根据具体场景，强化人脸信息保护，优化人脸识别技术的风险规制，促进数字信任，实现人脸信息保护与人脸识别技术发展的和谐统一。
